DNS泄露、WebRTC泄露和IP泄露经常被混在一起说，但它们关注的并不是同一件事。有人看到DNS服务器和VPN节点不一致，就认为“真实IP已经泄露”；也有人在WebRTC检测里看到一个公网地址，就直接下结论说“VPN失效了”。这些判断都可能过早。
如果只想分清三者的区别，可以从泄露了什么、谁能看到、怎么判断、三者是什么关系这几个维度去比较，下面就围绕这些区别讲清楚。
一句话区分：DNS泄露看的是“域名查询走了哪条路”；WebRTC泄露看的是“浏览器是否暴露了不应出现的网络地址”；IP泄露看的是“网站或通信对端是否直接看到了不应暴露的真实公网IP”。三者可以同时出现，但不能简单互相等同。
目 录
1. DNS泄露、WebRTC泄露和IP泄露有什么区别？
三者暴露的信息和判断依据不同，先看这张表把概念区分开。
| 对比维度 | DNS泄露 | WebRTC泄露 | IP泄露 |
|---|---|---|---|
| 主要暴露什么 | DNS查询及解析路径信息 | ICE Candidate中的网络地址信息 | 不应暴露的真实公网IPv4/IPv6 |
| 谁可能看到 | 实际使用的 DNS 解析器；若 DNS 未加密，链路中的部分网络中间方也可能看到查询 | 当前网页或WebRTC服务 | 网站、服务端或直接通信对端 |
| 是否一定暴露真实公网IP | 否 | 不一定 | 是，这正是判断核心 |
| 常见判断重点 | DNS是否走预期路径、是否使用预期解析器 | 是否出现不应暴露、与预期出口不一致的地址 | 网页看到的公网IP是否绕过预期VPN/代理出口 |
| 最核心区别 | 查询路径异常 | 浏览器网络地址暴露异常 | 真实网络出口直接暴露 |
所以，三者不能简单理解成“都是IP被发现”。DNS泄露重点在解析请求有没有走错路径；WebRTC泄露重点在浏览器有没有暴露不该出现的地址；IP泄露则更直接——本来应该隐藏的真实公网出口，被网站或对端看到了。
2. 三者最容易混淆的4个区别
2.1 DNS泄露不等于真实IP已经泄露
DNS泄露说明的是DNS查询没有按照预期路径处理。例如你希望DNS随VPN一起走，但实际查询仍发给了本地网络或其他非预期解析器。它可能暴露你查询过哪些域名以及查询来源，但不能仅凭这一点就下结论说“当前网站已经拿到了真实公网IP”。另外，检测到的DNS解析器与VPN节点不在同一地区，也不必然代表泄露：有些VPN会主动使用第三方公共DNS或自建DNS。真正需要判断的是，这个解析器是否符合当前网络配置的预期，以及DNS请求有没有绕过本应经过的隧道。
2.2 WebRTC出现公网IP，也不代表一定泄露
WebRTC建立连接时会收集多种ICE Candidate，其中可能出现公网映射地址。因此，检测页里“出现一个公网IP”并不能自动等同于泄露。真正需要比较的是：这个地址是不是不应该暴露的真实网络地址，它是否与当前预期的VPN或代理出口不一致。如果想进一步理解Candidate类型和判断方法，可以再看WebRTC检测指南。
2.3 IP泄露关注的是“真实出口被直接看到”
如果你已经连接VPN或代理，预期网站看到的是代理节点IP，但网页最终仍显示你的真实公网IPv4或IPv6，这就是最直观的IP泄露。这里判断的重点不是某个DNS服务器来自哪里，也不是Candidate里有没有公网地址，而是最终对外可见的网络出口是否符合预期。例如网页IPv4已经变成代理IP，但IPv6仍显示真实网络地址，也应按IP泄露继续排查。
2.4 三者可能同时发生，但关系并不完全相同
例如：网页出口流量正常走VPN，页面看到的出口IP也是VPN节点；但DNS查询仍走本地网络，同时WebRTC又出现一个不应暴露的真实网络地址。此时可以同时存在DNS泄露和WebRTC异常，但不能因此把DNS泄露简单归类为“IP泄露的一种”。更准确的理解是：它们是不同网络路径上的隐私问题，可能互相伴随，也可能单独出现。
3. 怎么判断自己遇到的是哪一种泄露？
普通用户没有必要先排查所有底层机制。可以先看现象，再决定应该进入哪一类问题继续检查。这里最重要的是“对照预期”：在连接VPN或代理之前先知道自己的真实公网出口，连接之后再分别观察网页出口、DNS和WebRTC结果。只有知道什么地址本来应该出现、什么地址不应该出现，检测结果才有意义。
| 你看到的情况 | 优先检查 |
|---|---|
| 网页公网IP正常，但DNS解析器明显不符合预期 | DNS泄露 |
| 网页出口正常，但WebRTC出现不应暴露的真实网络地址 | WebRTC泄露 |
| 网页直接显示真实公网IPv4或IPv6，而不是预期代理/VPN出口 | IP泄露 |
| DNS、WebRTC、网页出口都出现异常 | 可能存在多条网络路径未被预期接管 |
| WebRTC只出现.local一类mDNS地址 | 不能仅据此判断真实IP泄露 |
| WebRTC出现一个公网IP，但来源还不确定 | 先与预期出口和真实网络地址对比，再判断 |
如果已经确定属于DNS问题，再进入DNS泄露检测方法进一步排查；如果问题集中在浏览器Candidate，则继续做WebRTC专项检测。
4. DNS、WebRTC和IP泄露之间是什么关系？
DNS查询走错路径 → DNS泄露
WebRTC暴露非预期网络地址 → WebRTC泄露
网站直接看到不应暴露的真实公网IP → IP泄露
DNS看“查询走哪儿”，WebRTC看“浏览器暴露什么地址”，IP泄露看“最终谁看到了真实出口”。它们之间可能有关联，但不是简单的包含关系，也不能只凭一个检测结果就替另外两种问题下结论。
因此可以按照这个检查顺序：先确认当前网页看到的公网IP是否为预期出口，再检查DNS路径，最后核对WebRTC Candidate。
5. 常见问题FAQ
Q1：DNS泄露和IP泄露有什么区别？
DNS泄露关注DNS查询是否走了预期路径；IP泄露关注网站或对端是否直接看到了不应暴露的真实公网IP。DNS异常并不自动等于网站已经拿到真实IP。
Q2：WebRTC检测到公网IP就一定是泄露吗？
不一定。要继续判断这个公网地址属于什么Candidate、是否属于真实网络出口，以及它是否与当前预期的VPN或代理出口不一致。只看到“公网IP”三个字还不足以下结论。
Q3：三种泄露会同时发生吗？
会。不同流量可能走不同路径，所以DNS、WebRTC和网页公网出口可能同时出现异常。遇到这种情况，应分别确认每条路径，而不是只修复其中一个结果。
